CVE-2022-39341: fallo de gravedad media en openfga
OpenFGA Authorization Bypass
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
OpenFGA, un sistema de autorización, tenía una falla donde los caracteres comodín en las reglas de permisos podían ser eludidos, permitiendo acceso no autorizado. Esto importa porque socava la seguridad de aplicaciones que dependen de OpenFGA para proteger operaciones sensibles.
Las versiones de OpenFGA anteriores a 0.2.4 contienen una vulnerabilidad de elusión de autorización afectando relaciones de tupleset con definiciones de comodín (`*`) en el modelo de autorización. Los atacantes pueden explotar esto para eludir controles de acceso intencionales sin requerir escalada de privilegios o bypass de autenticación, resultando en acceso no autorizado a recursos protegidos.
En el mismo producto, de las más peligrosas a las menos.